Platform & Observability

SSO (OIDC)

Wave Console에 OpenID Connect 로그인을 붙입니다. 엔지니어는 각자 회사 IdP로 로그인해 역할을 받고, IdP가 내려가도 로컬 admin으로 들어올 수 있습니다.

문제

엔지니어 3명이 공유 admin 계정 하나로 로그인하고, 감사 로그에는 admin만 남습니다

kubernetes.io, Authenticating; Wave SSO Setup 문서. 엔지니어 3명은 문서 다이어그램에서 가져온 설명용 수치입니다.

"Kubernetes에는 일반 사용자 계정을 나타내는 오브젝트가 없습니다"(kubernetes.io). 클러스터 안에서 도는 콘솔은 로그인을 스스로 갖춰야 합니다.

가장 쉬운 방법은 로컬 admin 하나를 같이 쓰는 것입니다. 그러면 사람별 감사 기록이 남지 않고, 누군가 떠나면 공유 비밀번호를 바꿔야 합니다(Wave SSO Setup 문서).

Wave 도입 전

엔지니어 3명(Alice, Bob, Carol)이 공유 admin 하나로 로그인합니다. 로그로는 누가 했는지 구분할 수 없고, 한 명이 떠나면 비밀번호를 바꿔야 합니다.

Wave 도입 후

같은 엔지니어 3명이 회사 IdP로 로그인합니다. 로그의 행마다 이름과, 관리자가 그 사람에게 준 역할이 남습니다.

공유 admin과 PKCE를 쓰는 OIDC: Wave SSO Setup 문서. 사람, 시각, 역할은 설명용입니다.

공유 로그인 하나에서, 모든 변경에 이름이 남기까지

공유 로컬 admin누가 바꿨는지 알 수 없음

Wave SSO로그인마다 이름이 남음

기본 동작: kubernetes.io (Authenticating)와 Wave SSO Setup 문서(공유 로컬 admin). Wave: Wave SSO Setup 문서.

Wave 3.2.2부터 Web Console은 OpenID Connect의 Authorization Code 흐름과 PKCE로 로그인합니다. Okta, Microsoft Entra ID, Google Workspace, Keycloak에서 검증했습니다.

SSO 사용자는 첫 로그인 때 자동으로 생기지 않습니다. 관리자가 사용자마다 이메일과 역할(Viewer, Operator, Manager, Admin)을 먼저 등록합니다. 첫 로그인은 이메일로 그 사용자와 연결되고, 기본값으로 검증된 이메일만 받습니다.

SSO를 켜도 로그인 페이지에 Use local admin account 토글이 남습니다. IdP가 내려가도 로컬 admin으로 로그인할 수 있습니다.